Indisches Verfassungsgericht: Nationale Biometriedatenbank ist rechtens

Der Oberste Indische Gerichtshof hat heute in einem lang erwarteten Urteil (pdf) das größte Biometrieprojekt der Welt für rechtens erklärt. Vier der fünf Richter argumentierten für den Weiterbetrieb der Datenbank, forderten allerdings auch Verbesserungen in der Gesetzesgrundlage, dem Aadhaar Act. Datenschützer hatten bereits 2012 die Verfassungsbeschwerde eingelegt. Sie hofften darauf, dass das Indische Oberste Gericht das Mammut-Projekt für rechtswidrig erklären würde. Sie wurden nun enttäuscht.

Seit 2009 baut Indien mit einem gewaltigen Aufwand die Datenbank, um alle 1,2 Milliarden Einwohner zu identifizieren: Jede Person im zweitbevölkerungsreichsten Land der Erde soll drei verschiedene biometrische Merkmale abgeben und eine eindeutige zwölfstellige Nummer bekommen. Mittlerweile sind über eine Milliarde Menschen darin registriert. Lange war die Teilnahme „freiwillig“, der Aadhaar Act wurde erst 2016 verabschiedet. Biometrische Daten wurden also sieben Jahre lang ohne gesetzliche Grundlage gespeichert.

Bürgerinnen und Bürger waren allerdings schon davor von der Identifikationsnummer abhängig, um Hilfe- und Dienstleistungen zu bekommen. Im Januar konnte eine Zeitung zudem auf die in der zentralen Datenbank angegebenen persönlichen Daten aller registrierten Bürgerinnen und Bürger zugreifen. Hacker hatten die Journalisten kontaktiert und ihnen die Zugangsdaten für umgerechnet knapp sechs Euro verkauft. Eigentlich ein Test für das nur Monate zuvor neu geschaffene Grundrecht auf Privatsphäre.

Größtes Biometrieprojekt der Welt

Die Aadhaar-ID ist in Indien Voraussetzung für den Erhalt von Sozialleistungen und wurde ursprünglich damit rechtfertigt, dass sie eine effizientere Verteilung der Leistungen erlaube. Die lange Reihe von Leaks haben nicht zuletzt die Kompetenz der eigens für das Projekt gegründeten Behörde UIDAI (Unique Identification Authority of India) infrage gestellt. Nur einer der Richter, Dhananjaya Y. Chandrachud, stellte sich gegen die Mehrheitsmeinung und argumentierte dafür, Aadhaar als verfassungswidrig anzusehen. Es gäbe keine „robusten Absicherungen“, die informierte Einwilligung oder ein Recht auf Opt-Out ermöglichen. Er kritisierte auch, dass es in Indien kein spezielles Datenschutzgesetz gibt, dass den Schutz und Umgang mit persönlichen Daten regelt. Wenn es unmöglich wird, in Indien ohne eine Adhaar-ID zu leben, widerspräche das zudem Grundrechten.

Das ursprüngliche Ziel, effizientes Regieren, ist über die Jahre in den Hintergrund getreten. So haben auch Unternehmen, von Banken über Telekommunikationsdienstleister bis hin zu Versicherungen, die einzigartige Nummer zur Voraussetzung gemacht, um beispielsweise eine SIM-Karte zu kaufen oder ein Bankkonto zu eröffnen. Das Resultat: Staat und Unternehmen haben Zugriff auf detaillierte Profile aus allen Lebensbereichen der Menschen, die weit über Informationen, die etwa für die Vergabe von Sozialleistungen benötigt werden, hinausgehen.

Banken dürfen nicht mehr zur Nutzung von Aadhaar verpflichten

Die Mehrheit der Richter forderte in diesem Punkt eine Überarbeitung des Gesetzes, das für Aadhaar verabschiedet wurde. Unternehmen sollen etwa ihre Kundinnen und Kunden nicht dazu verpflichten dürfen, die Identifikationsnummer etwa bei einer Kontoeröffnung angeben zu müssen. Die Regierung müsse Bürgerinnen und Bürgern zudem alternative Möglichkeiten geben, sich den Behörden gegenüber zu identifizieren und Sozialleistungen zu erhalten.

Was in Indien schon Realität ist, eine ungesicherte Datenbank mit den Informationen beinahe aller Bürgerinnen und Bürger, die offensichtlich nicht gegen den Zugriff von Geheimdiensten und privaten Akteuren geschützt ist, sehen einige derweil als international erstrebenswert an. Bill Gates lobte im Mai dieses Jahres das Projekt und sagte, dass er keine Bedenken habe, was die Privatsphäre der registrierten Menschen angeht. Andere Länder sollten Indiens Beispiel folgen. Auch die Weltbank lobte das Projekt noch im April, Monate nachdem alle persönlichen Daten der registrierten Bürgerinnen und Bürger öffentlich wurden. Die Weltbank argumentiert, ebenso wie die indische Regierung, dass eine digitale Identität den Zugang zu Hilfsleistungen verbessern würde.

Beide ignorieren dabei, dass seit der Einführung eine ganze Reihe neuer Risiken entstanden sind. Persönliche Daten landen bei Unternehmen und in den Händen von Kriminellen, genehmigte Hilfeleistungen wurden teilweise nicht mehr überwiesen, wenn den Behörden keine Aadhaar-ID vorlag, und führten, wie die Times of India berichtete, schon zu Todesfällen.

Das Urteil umfasst knapp 1.500 Seiten. Ob und wie genau es nun die Privatsphäre und Lebenschancen von über einer Milliarde Menschen verbessert und etwa den schon bestehenden weitreichenden Zugriff von Unternehmen auf die Daten rückgängig machen kann, bleibt noch abzuwarten.